Un nuevo grupo de ransomware llamado Sarcoma se ha puesto en la mira, pues, ha cobrado numerosas víctimas desde su primera aparición en octubre.
Sarcoma se detectó por primera vez a inicios de octubre de 2024. Desde su primera aparición, cobró diversas víctimas de distintos sectores, desde empresas pequeñas hasta empresas más grandes, como lo es la empresa de manufactura alemana Stahl. Solo en el mes de octubre listó un total de 31 víctimas. [3]
Como es común en los grupos de ransomware actuales, Sarcoma utiliza tácticas de doble extorsión, exfiltrando la información de la víctima, acto seguido encripta los archivos y comienza con la extorsión diciendo que se pague una cantidad de dinero en un tiempo determinado, de lo contrario se filtrara la información en su página de filtraciones. [1] Imagen del sitio de filtraciones de Sarcoma ransomware [3]
No es extraño que Sarcoma tenga listadas tantas víctimas en su sitio de filtraciones, ya que se trata de un ransomware sofisticado que emplea diversas técnicas para ganar acceso y comprometer organizaciones. A continuación, se detallan las diferentes técnicas para ganar acceso: [4]
Ataques de phishing: Emails creados para obtener información y/o descargar archivos, haciéndose pasar por correos verídicos de la organización.
Explotación de vulnerabilidades: Sarcoma busca vulnerabilidades en la organización para poder explotarlas y así poder infiltrarse dentro de esta.
Explotación del puerto RDP (3389): Al ser un puerto muy inseguro, constantemente se está buscando explotar esta vulnerabilidad.
Ataques a la cadena de suministro: Sarcoma tiene una preferencia para atacar cadenas de suministro para ganar acceso a una red más grande.
Movimiento lateral: Una vez dentro de la red, se empieza a expandir lateralmente, comprometiendo más sistemas para un mayor impacto.
Exfiltración de datos: Se exfiltran los datos de la organización para poder llevar a cabo sus tácticas de doble extorsión
Encriptación fuerte: Este ransomware cuenta con una encriptación fuerte que ayuda a no ser eliminado sin la llave.
Establecer controles de acceso SSH basados en la red para minimizar el riesgo de ataque
Auditar herramientas de acceso remoto. (NIST CSF, 2024)
Revisar logs para de ejecución de software de acceso remoto. (NIST CSF, 2024)
Limitar estrictamente el uso de los protocolos SMB y RDP.
Realizar auditorías de seguridad. (NIST CSF, 2024)
Deshabilitar los servicios y procesos no requeridos para reducir los vectores de ataque. (NIST CSF, 2024)
Tener filtros de correo electrónico y spam.
Concientizar a los empleados sobre los métodos de Phishing e Ingeniería social.
Realizar copias de seguridad, respaldos o back-ups constantemente.
Mantener los respaldos desconectados de la red de la organización, verificando constantemente la confidencialidad, integridad y disponibilidad de estos.
Revisar continuamente los privilegios de los usuarios.
Tener una solución EDR robusta configurada adecuadamente basada en las mejores prácticas (de acuerdo con documentación de fabricante).
El pasado 10 de diciembre, Microsoft publicó su lista de vulnerabilidades en su denominado “Patch Tuesday”. En este se abordaban diferentes vulnerabilidades de diversas criticidades; algunas destacaban más que otras debido a su impacto y probabilidad de......
Se ha identificado un nuevo ransomware denominado Funksec, detectado en diciembre de 2024. En tan solo los primeros 10 días del mes, ya ha afectado a 31 víctimas.
El primer ataque registrado de Funksec ocurrió el 4 de diciembre del mismo año,......
Las familias de ransomware tienden a mejorar sus capacidades con el tiempo y están en constante evolución para evadir métodos de detección o generar un mayor impacto, por lo que pueden surgir variaciones del ransomware principal o nuevas versiones.......
